CRA : ce qui change pour une entreprise suisse qui vend dans l'UE

Un règlement européen concerne-t-il une PME suisse ? Pour le Cyber Resilience Act, la réponse est oui dès que vous vendez dans l’Union européenne. Cet article explique la répartition des rôles entre le fabricant suisse et ses partenaires européens, la question pratique du signalement depuis la Suisse et l’état réel du droit suisse au 28 octobre 2026.

Pas de CRA en Suisse, mais le marché européen l’impose

Le CRA ne s’applique pas sur le territoire suisse, mais il s’applique à chaque produit qu’une entreprise suisse met sur le marché de l’UE, exactement comme la directive basse tension ou la directive RED s’appliquent déjà à ses exportations.

Le règlement (UE) 2024/2847 vise les produits comportant des éléments numériques mis à disposition sur le marché de l’Union (art. 2, par. 1). La mise sur le marché est la première mise à disposition sur ce marché (art. 3, point 21), dans le cadre d’une activité commerciale, à titre onéreux ou gratuit (art. 3, point 22). Le pays d’établissement du fabricant n’est pas un critère.

En résumé, l’entreprise suisse est le fabricant au sens du CRA (art. 3, point 13) et porte seule les obligations de fond, y compris le signalement depuis le 11 septembre 2026 (art. 13 et 14). Elle peut désigner un mandataire dans l’UE (art. 18), et son importateur européen vérifie la conformité avant la mise sur le marché (art. 19). En Suisse, une loi fédérale s’appuyant sur le CRA est en préparation : concevoir dès maintenant selon le CRA évite un double travail.

Situations typiques pour une PME suisse :

• vente à un distributeur ou à un importateur établi en Allemagne, en France ou en Italie ;
• vente directe en ligne à des clients de l’UE ;
• livraison d’un sous-ensemble électronique à un intégrateur européen (le composant est un produit au sens de l’art. 3, point 1) ;
• machine ou instrument livré à un client dans l’UE.

Pour vérifier qu’un produit entre dans le champ, voir notre test en cinq questions ; pour la vue d’ensemble du règlement, notre guide complet du CRA.

Fabricant suisse : des obligations entières et non délégables

Une entreprise suisse qui conçoit un produit et le vend sous sa marque dans l’UE porte l’intégralité des obligations de conception, de documentation et de gestion des vulnérabilités ; elle ne peut pas les transférer à un partenaire européen.

Ses obligations principales figurent à l’art. 13 : évaluation des risques documentée (par. 2 et 3), diligence sur les composants de tiers (par. 5), période d’assistance d’au moins cinq ans (par. 8), documentation technique conservée dix ans ou pendant la période d’assistance si elle est plus longue (par. 12 et 13), coordonnées et point de contact unique (par. 16 et 17), instructions de l’annexe II (par. 18) et date de fin de la période d’assistance indiquée à l’achat (par. 19).

Selon l’art. 18, par. 2, le mandat ne peut pas couvrir l’art. 13, par. 1 à 11, l’établissement de la documentation technique (par. 12, premier alinéa) ni la conformité de la production en série (par. 14).

Attention à la marque blanche : un importateur ou un distributeur européen qui vend votre produit sous son propre nom ou sa propre marque devient fabricant et reprend les obligations des art. 13 et 14 (art. 21). C’est un point à régler dans les contrats.

Obligation	Fabricant suisse	Mandataire UE	Importateur UE	Distributeur UE	Référence
Évaluation des risques et conception	Oui	Non	Non	Non	Art. 13, par. 2 ; art. 18, par. 2
Documentation technique	L’établit	La tient à disposition	S’assure qu’elle existe	Non	Art. 13, par. 12 ; art. 18, par. 3 ; art. 19, par. 2
Déclaration UE et marquage CE	Oui	Tient la déclaration à disposition	Vérifie	Vérifie le marquage	Art. 18, par. 3 ; art. 19, par. 2 ; art. 20, par. 2
Coordonnées sur le produit	Les siennes		Ajoute les siennes	Vérifie	Art. 13, par. 16 ; art. 19, par. 4 ; art. 20, par. 2
Gestion des vulnérabilités	Oui	Non	Informe le fabricant	Informe le fabricant	Art. 13, par. 8 ; art. 19, par. 5 ; art. 20, par. 4
Signalement (art. 14)	Oui	Non	Non	Non	Art. 14

Mandataire, importateur, distributeur : vos partenaires européens

Les partenaires européens d’un fabricant suisse ont chacun un rôle défini par le CRA : le mandataire agit au nom du fabricant, l’importateur vérifie la conformité avant la mise sur le marché, le distributeur agit avec diligence.

Le mandataire

Le mandataire est établi dans l’UE et agit sur mandat écrit du fabricant (art. 3, point 15, et art. 18, par. 1). Le texte de l’art. 18 permet sa désignation sans l’imposer. Le mandat l’autorise au minimum à tenir la déclaration et la documentation technique à disposition des autorités pendant dix ans ou la période d’assistance, à leur transmettre les documents sur requête motivée et à coopérer avec elles (art. 18, par. 3). Il a aussi un intérêt pratique : son État d’établissement détermine en premier le CSIRT compétent pour le signalement (art. 14, par. 7, point a)).

L’importateur

Lorsque votre produit porte le nom ou la marque d’une entreprise établie hors de l’UE, l’entreprise européenne qui le met sur le marché est un importateur (art. 3, point 16). Avant la mise sur le marché, elle veille à ce que l’évaluation de la conformité ait été menée, que la documentation technique existe, que le marquage CE, la déclaration et les instructions soient présents, et que la date de fin de la période d’assistance soit indiquée (art. 19, par. 2). Elle ne met pas sur le marché un produit qu’elle estime non conforme (art. 19, par. 3), indique ses coordonnées (par. 4), informe le fabricant des vulnérabilités dont elle a connaissance (par. 5) et conserve la déclaration (par. 6). Attendez-vous donc à des questions sur votre documentation et votre gestion des vulnérabilités.

Le distributeur

Le distributeur vérifie le marquage CE et la présence des informations requises (art. 20, par. 2) et informe le fabricant des vulnérabilités dont il prend connaissance (art. 20, par. 4).

Les points à prévoir dans vos contrats

Remontée des vulnérabilités, transmission de la documentation, langues des instructions, marque blanche : ces points gagnent à être écrits, et leur rédaction relève d’un juriste. Pour la vente directe en ligne sans importateur, examinez aussi avec lui si un opérateur établi dans l’UE est requis au titre du règlement (UE) 2019/1020, art. 4 (point à vérifier).

Signaler une vulnérabilité depuis la Suisse

Depuis le 11 septembre 2026, un fabricant suisse doit, comme un fabricant européen, signaler toute vulnérabilité activement exploitée et tout incident grave affectant ses produits vendus dans l’UE, y compris ceux vendus avant l’entrée en application générale du CRA (art. 14, art. 69, par. 3, et art. 71, par. 2).

Les délais sont les mêmes pour tous : alerte précoce sous 24 heures, notification sous 72 heures, rapport final au plus tard 14 jours après la mise à disposition d’une mesure corrective pour une vulnérabilité, ou dans un délai d’un mois après la notification pour un incident grave (art. 14, par. 2 et 4). La notification passe par la plateforme unique de signalement (art. 16), opérationnelle depuis le 11 septembre 2026 selon l’ENISA, et elle est mise simultanément à la disposition de l’ENISA.

Sans établissement principal dans l’UE, le CSIRT compétent est celui de l’État membre déterminé dans cet ordre (art. 14, par. 7) :

Ordre	Critère	Exemple
a)	État du mandataire qui agit pour le plus grand nombre de vos produits	Mandataire établi en Autriche : CSIRT autrichien
b)	À défaut, État de l’importateur qui met sur le marché le plus grand nombre de vos produits	Importateur principal en France : CSIRT français
c)	À défaut, État du distributeur qui met à disposition le plus grand nombre de vos produits	Distributeur principal en Italie : CSIRT italien
d)	À défaut, État qui compte le plus grand nombre de vos utilisateurs	Vente directe surtout en Allemagne : CSIRT allemand

Dans le cas d), le fabricant peut ensuite adresser ses nouveaux signalements au CSIRT avec lequel il a communiqué la première fois (art. 14, par. 7, dernier alinéa).

Selon les lignes directrices de la Commission, le fabricant prend connaissance d’une vulnérabilité activement exploitée lorsqu’il a, après une première évaluation, un degré raisonnable de certitude (C(2026) 5252, point 213). Il n’a pas à signaler une vulnérabilité dont il connaissait l’exploitation active avant le 11 septembre 2026 (point 217).

Le signalement CRA ne se confond pas avec l’obligation suisse de signaler les cyberattaques contre les infrastructures critiques, prévue par la loi sur la sécurité de l’information depuis le 1er avril 2025 : celle-ci vise les exploitants de ces infrastructures, pas le fabricant de produits en tant que tel. Le détail des délais et du contenu des rapports est dans notre article sur le signalement des vulnérabilités.

Et en Suisse ? OIT, LPD et projet de loi fédérale

En Suisse, aucune loi n’impose à ce jour l’équivalent du CRA ; la cybersécurité des produits relève de règles sectorielles, et le Conseil fédéral a lancé en septembre 2026 la préparation d’une loi fédérale qui s’appuiera sur le CRA.

Le projet de loi fédérale sur la cybersécurité

Le 25 septembre 2026, le Conseil fédéral a chargé le DDPS de présenter d’ici juin 2027 un projet de loi fédérale sur la cybersécurité, ensuite mis en consultation. Selon le communiqué, elle prévoira des exigences contraignantes pour les fabricants, importateurs et commerçants de produits techniques, logiciels et matériel compris, ainsi qu’une surveillance du marché ; elle s’appuiera sur le CRA en limitant la charge administrative. Les réglementations sectorielles, dont l’OIT, restent en vigueur. C’est une décision de principe : aucun texte ni aucune date d’entrée en vigueur ne sont connus.

L’OIT pour les installations de radiocommunication

L’ordonnance sur les installations de télécommunication (OIT, RS 784.101.2), art. 7, al. 3, charge l’OFCOM de déterminer les exigences essentielles additionnelles applicables, en tenant compte des actes délégués de la Commission européenne. Parmi elles figurent la protection du réseau (let. d), des données personnelles et de la vie privée (let. e) et la protection contre la fraude (let. f), soit le pendant des exigences de la directive RED, art. 3.3 d), e) et f). Notre article sur la cybersécurité RED et l’EN 18031 décrit leur application en Suisse depuis le 1er août 2025 ; vérifiez la version en vigueur des textes de l’OFCOM avant de vous y fier pour un produit donné.

La LPD et le cadre général

La loi fédérale sur la protection des données (LPD, RS 235.1) s’applique aux traitements de données personnelles. Son art. 7 impose au responsable du traitement la protection des données dès la conception et par défaut. La loi fédérale sur la sécurité des produits (LSPro, RS 930.11) fixe le cadre général de la sécurité des produits, sans exigences spécifiques de cybersécurité.

L’accord de reconnaissance mutuelle (ARM)

L’ARM entre la Suisse et l’UE couvre une liste fermée de secteurs de produits. À notre connaissance, le CRA n’y figure pas : à vérifier auprès du SECO. Conséquence pratique : pour le CRA, un fabricant suisse est un fabricant établi hors de l’UE, et son client européen qui met le produit sur le marché est un importateur (art. 3, point 16). Ne comptez pas sur une reconnaissance automatique d’une évaluation réalisée en Suisse.

Texte	Champ	Statut	Impact pour le fabricant suisse
CRA, règlement (UE) 2024/2847	Produits vendus dans l’UE	En vigueur ; art. 14 applicable ; application générale le 11 décembre 2027	Obligatoire pour exporter vers l’UE
OIT, art. 7, al. 3	Installations de radiocommunication en Suisse	Base légale en vigueur ; application à vérifier dans les textes de l’OFCOM	À suivre pour les produits radio
LPD, art. 7	Données personnelles	En vigueur	Protection des données dès la conception
Projet de loi fédérale sur la cybersécurité	Produits techniques en Suisse	Mandat du 25 septembre 2026, projet d’ici juin 2027	Anticiper en s’alignant sur le CRA
ARM Suisse-UE	Secteurs listés	CRA non couvert, à notre connaissance	Pas de reconnaissance automatique

Feuille de route pour une PME suisse

Pour une PME suisse, la démarche la plus économique consiste à traiter le CRA comme une exigence de conception unique, valable pour l’UE aujourd’hui et probablement, sous une forme proche, pour la Suisse demain.

1. Cartographier les produits vendus dans l’UE et les canaux : distributeur, importateur, vente directe, intégrateur.
2. Vérifier le champ et la catégorie de chaque produit (voir notre test en cinq questions).
3. Clarifier les rôles avec vos partenaires européens et adapter les contrats : mandataire éventuel, importateur, distributeur, marque blanche.
4. Mettre en place dès maintenant le point de contact unique, la politique de divulgation coordonnée et la procédure de signalement, déjà exigible.
5. Lancer l’évaluation des risques et l’analyse d’écart avec l’annexe I sur votre produit phare, avec une analyse de menaces (TARA).
6. Planifier la documentation technique et la procédure d’évaluation de la conformité avant le 11 décembre 2027 (voir notre calendrier du CRA).

Depuis Granges-Paccot, Säfeli accompagne les fabricants de toute la Suisse vers le marché européen : analyse du périmètre, répartition des rôles avec vos partenaires, évaluation des risques, essais, préparation de la documentation et de la procédure de signalement. Pour les produits radio, nous réalisons aussi les essais radio. Prenez contact pour un premier échange. Säfeli accompagne ; le fabricant reste responsable de la conformité de son produit.